报文分析

Arp报文分析：

Arp 报文格式:三层：Frame、Ethernet、Address Resolution Protocol 协议类型：IP 先在ＤＯＣ命令窗口下：ping 10.16.134.66

网关的ARP：

Arp请求：

Arp应答：

目的主机：

Arp请求：

Arp响应：

分析：

当主机10.16.134.62向主机10.16.134.66发送时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到目标IP地址，主机A就会在网络上发送一个广播，此时，主机A发送的帧包含:sender MAC address( 本机的ＭＡＣ地址)，sender IP address(本机IP地址)，目标主机B的target MAC address(全部为空)target IP address(目标主机的IP地址)。这表示向同一网段内的所有主机发出这样的询问：“我是10.16.134.62，我的MAC是"c8:3a:35:d3:cf:41".请问IP地址为10.16.134.66的MAC地址是什么？”网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：“10.16.134.66的MAC地址是c8:3a:35:d3:77:1d”。这样，主机A就知道了主机B的MAC 地址，它就可以向主机B发送信息了。同时A和B还同时都更新了自己的ARP缓存表（因为A在询问的时候把自己的IP和MAC地址一起告诉了B），下次A再向主机B或者B向A发送信息时，直接从各自的ARP缓存表里查找就可以了。

ARP缓存表采用了老化机制（即设置了生存时间TTL），在一段时间内（一般15到20分钟）如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。

(注：此时arp缓存表中已经删除了10.16.134.66 的MAC 地址)

TCP报文分析：

TCP三次握手：

分析：第一次握手，客户端端口：4831，服务器端口：21 [SYN ] seq=0,len=0,说明客户端向服务器发出连接请求，表明传送数据时，第一个数据字节序号为0，窗口大小为8192（Win=8192）窗口个数为2（WS=2）

第二次握手，服务器端口：21 客户端口：4831 [SYN ACK] Ack=1 seq:0说明服务器同意连接请求，发送确认，窗口大小为16384(window size:16384) ,自己选择的序号为0

第三次握手：客户端端口：4831 服务器端口：21 [ACK] seq:1 Ack：1 说明客户端收到此报文后向服务器发出确认，连接建立成功。

Source port:ftp Ack:1服务器端收到确认后也通知FTP层的应用进程，连接已经成功建立。

数据连接的建立：

分析：服务器（59.77.139.88）使用20端口向客户端（10.12.10.57）的4837端口发送连接请求，建立一条数据连接来传送数据（主动模式）

分析：客户端（10.12.10.57）随机产生两个端口4841和9081，客户端首先使用和主动连接模式相同的方法和服务器建立命令连接。当需要传送数据时，客户端（10.12.10.57）随机产生两个端口4841和9081，通过命令连接告诉服务器（使用PASV命令，就是在数据连接之前，客户端会向服务器端先发送一个ＰＡＳＶ的请求命令）“我要连接您的9081端口，请问是否空闲”，假如恰好该端口空闲，服务器会告诉客户端（报文捕获如下）

能够建立连接（ACK：1），此时数据的连接建立（被动模式）。

数据连接：

分析：由服务器端通过20端口向客户端发送数据连接请求。

客户端同意连接请求ACK：1，此时数据连接成功

以下是下载数据时数据连接的释放过程：

（注：上传数据时，是由客户端先提出释放申请）

TCP四次挥手：

分析：第一次挥手Port（主动模式），客户端端口：2565 服务器端口：21（控制连接）[FIN,ACK] seq:38,Ack:130（捎带确认，表示前面的已经正确接收）说明客户端发送释放连接请求,等待服务器的确认。

第二次挥手Port（主动模式），服务器端口：21 客户端口：2565 [ACK] Ack:39 (即：Ack=seq+1) seq=130(这个报文自己的序号) TCP服务器进程通知高层应用进程，此时，客户端到服务器的连接断开，TCP连接出于半断开的状态，服务器发送的数据，客户端仍然接收。

第三次挥手Port（主动模式），服务器端口：21 客户端口：2565 [FIN ACK] ACK:39 seq:130 说明服务器已经没有要发送的数据了，通知客户端释放连接。

第四次挥手Port（主动模式），客户端口:2565 服务器端口：21 [ACK] ACK:131(即：ACK=SEQ+1) 说明客户端同意释放连接。此时完成连接的释放过程。

HTTP报文分析：

Tcp 的三次握手（前面已经描述它的工作原理了）,和FTP不同的是HTTP服务器的端口号为：80（下面是Http的报文）

第一次握手，数据报文结构（4层：Frame、Ethernet、Transmission Control Protocol），协议为：TCP

第二次握手

第三次握手：

通知上层（HTTP）连接建立成功：

数据报文结构（5层：Frame、Ethernet、Transmission Control Protocol、Hypertext Transfer Protocol），协议为：HTTP (该层用到了传输层的TCP协议)

以下是应用层对传输层创建的端口的使用：

Http的四次挥手(工作原理和FTP的类似):